Agencia Estatal Boletín Oficial del Estado
LA COMISIÓN EUROPEA,
Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 249,
Visto el Tratado constitutivo de la Comunidad Europea de la Energía Atómica, y en particular su artículo 106,
Vista la Decisión (UE, Euratom) 2015/443 de la Comisión, de 13 de marzo de 2015, sobre la seguridad en la Comisión (1),
Vista la Decisión (UE, Euratom) 2015/444 de la Comisión, de 13 de marzo de 2015, sobre las normas de seguridad para la protección de la información clasificada de la UE (2),
Vista la Decisión (UE, Euratom) 2017/46 de la Comisión, de 10 de enero de 2017, sobre la seguridad de los sistemas de información y comunicación de la Comisión Europea (3),
Considerando lo siguiente:
(1) La Decisión (UE, Euratom) 2015/444 se aplica a todos los servicios de la Comisión y en todos los locales de la Comisión.
(2) Las medidas de seguridad destinadas a proteger la información clasificada de la UE (ICUE) a lo largo de su ciclo de vida deben ser proporcionales, ante todo, a su clasificación de seguridad.
(3) El artículo 4, apartado 3, el artículo 19, apartado 1, letra a), y el artículo 22 de la Decisión (UE, Euratom) 2015/444 indican la necesidad de establecer disposiciones más detalladas que complementen y faciliten la aplicación de dicha Decisión a través de normas de desarrollo que regulen cuestiones como la guía de clasificación, las medidas compensatorias para el manejo de la ICUE fuera de una zona de acceso restringido o una zona administrativa, y las responsabilidades de los originadores.
(4) En caso necesario, deben adoptarse normas de desarrollo destinadas a complementar o facilitar la aplicación de la Decisión (UE, Euratom) 2015/444 conforme al artículo 60 de dicha Decisión.
(5) Las medidas de seguridad adoptadas en aplicación de la presente Decisión deben ajustarse a los principios de seguridad en la Comisión establecidos en el artículo 3 de la Decisión (UE, Euratom) 2015/443.
(6) El Consejo, la Comisión y la alta representante de la Unión para Asuntos Exteriores y Política de Seguridad han acordado asegurar una coherencia máxima en la aplicación de las normas de seguridad relativas a la protección de la ICUE, teniendo en cuenta al mismo tiempo sus necesidades institucionales y organizativas específicas, de conformidad con las declaraciones adjuntas al acta de la sesión del Consejo en la que se adoptó la Decisión 2013/488/UE del Consejo (4).
(7) El 4 de mayo de 2016, la Comisión adoptó una Decisión (5) que faculta al miembro de la Comisión responsable de los asuntos de seguridad para adoptar, en nombre de la Comisión y bajo su responsabilidad, las normas de desarrollo contempladas en el artículo 60 de la Decisión (UE, Euratom) 2015/444,
HA ADOPTADO LA PRESENTE DECISIÓN:
Objeto y ámbito de aplicación
1. La presente Decisión establece las condiciones para el manejo de la información clasificada de la UE (ICUE) de grado RESTREINT UE/EU RESTRICTED (6), en cumplimiento de lo dispuesto en la Decisión (UE, Euratom) 2015/444.
2. La presente Decisión se aplicará a todos los servicios de la Comisión y en todos los locales de la Comisión.
Criterios de acceso a la información RESTREINT UE/EU RESTRICTED
1. El acceso a la información clasificada como RESTREINT UE/EU RESTRICTED podrá concederse después de que:
a) se haya determinado la necesidad de que un particular tenga acceso a determinada información RESTREINT UE/EU RESTRICTED a fin de poder desempeñar una función o cometido profesional para la Comisión Europea;
b) esa persona haya sido instruida acerca de las normas y los niveles de seguridad pertinentes y de las directrices para la protección de la información RESTREINT UE/EU RESTRICTED; y de que
c) dicha persona haya asumido sus responsabilidades en materia de protección de dicha información.
2. No se asignará a los becarios de la Comisión tareas que requieran su acceso a la información RESTREINT UE/EU RESTRICTED.
3. El acceso a esa información por parte de otras categorías de personal se autorizará o denegará de acuerdo con el cuadro que figura en el anexo.
Originador
Si bien el originador, en el sentido del artículo 1 de la Decisión (UE, Euratom) 2015/444, es la institución, agencia u organismo de la Unión, Estado miembro, tercer Estado u organización internacional bajo cuya autoridad se haya producido información clasificada o se haya introducido en las estructuras de la Unión, el redactor de la información RESTREINT UE/EU RESTRICTED no ha de ser necesariamente la misma entidad.
Asignación del grado de clasificación
1. El personal que redacte un documento a partir de información contemplada en el artículo 1 deberá considerar en toda circunstancia la posibilidad de que ese documento haya de ser clasificado. La clasificación de un documento en la categoría de ICUE implicará una evaluación y una decisión, por parte del originador, que determinen si la revelación del documento a personas no autorizadas podría resultar perjudicial para los intereses de la Unión Europea o de uno o varios Estados miembros. Si los redactores albergan alguna duda sobre la necesidad de que el documento en el que estén trabajando se clasifique como RESTREINT UE/EU RESTRICTED, deberán consultar al jefe de unidad o al director responsable.
2. Un documento debe clasificarse, como mínimo, en el grado RESTREINT UE/EU RESTRICTED si su revelación no autorizada pudiera, por ejemplo:
a) afectar negativamente a las relaciones diplomáticas;
b) causar una zozobra considerable a particulares;
c) dificultar el mantenimiento de la eficacia operativa o la seguridad del personal desplegado por los Estados miembros u otros contribuyentes;
d) violar el compromiso de mantener la confidencialidad de la información proporcionada por terceros,
e) entorpecer la investigación de algún delito o facilitarlo;
f) perjudicar a la Unión o a los Estados miembros en las negociaciones comerciales o políticas con otras partes;
g) obstaculizar el desarrollo o el funcionamiento efectivos de políticas de la Unión;
h) socavar la adecuada gestión de la Unión y sus misiones en general, o
i) conducir al descubrimiento de información clasificada en un grado superior.
3. Los originadores podrán optar por atribuir un grado de clasificación estándar a determinadas categorías de información que creen de forma habitual. No obstante, se asegurarán de que se atribuye el grado de clasificación apropiado a las informaciones concretas
Tratamiento de los borradores
1. La información se clasificará tan pronto como se haya producido. Las notas personales, los borradores o los mensajes que contengan información que justifique una clasificación en el grado RESTREINT UE/EU RESTRICTED estarán marcados consiguientemente desde el principio y se producirán y manejarán conforme a lo dispuesto en la presente Decisión.
2. Si el documento final deja de justificar su clasificación en el grado RESTREINT UE/EU RESTRICTED, se procederá a su desclasificación.
Registro del material original
Para permitir el ejercicio del control de originador, de conformidad con el artículo 13, los originadores de documentos RESTREINT UE/EU RESTRICTED deberán, en la medida de lo posible, llevar un registro de las fuentes clasificadas que hayan utilizado para producir documentos clasificados, incluidos los datos de las fuentes originarias de los Estados miembros de la UE, organizaciones internacionales o terceros países. Cuando así proceda, la información clasificada agregada se marcará de una forma que preserve la identificación de los originadores de los materiales originales clasificados que se hayan utilizado.
Clasificación de partes de un documento
1. De conformidad con el artículo 22, apartado 6, de la Decisión (UE, Euratom) 2015/444, el grado global de clasificación de un documento deberá ser al menos tan alto como el de su componente con mayor grado de clasificación. Cuando se recopile información procedente de diversas fuentes, se revisará el documento agregado final para determinar su grado global de clasificación de seguridad, al ser posible que requiera un grado de clasificación superior al de sus componentes.
2. Los documentos que contengan partes clasificadas y partes no clasificadas se estructurarán y marcarán de forma que los componentes con distintos grados de clasificación y/o sensibilidad puedan identificarse fácilmente y separarse en caso necesario. De esta forma, cada una de las partes podrá manejarse adecuadamente cuando se separe de los demás componentes.
Marca de clasificación completa
1. La información cuya clasificación esté justificada se marcará y manejará como tal, con independencia de su forma física. El grado de clasificación se comunicará claramente a los destinatarios, bien mediante una marca de clasificación, si la información se facilita por escrito, ya sea en papel, en soportes de almacenamiento extraíbles o en un sistema de información y comunicación (SIC), bien mediante una notificación, si la información se presenta oralmente, por ejemplo en una conversación o una presentación. El material clasificado estará marcado físicamente para permitir la fácil identificación de su clasificación de seguridad.
2. En los documentos, se escribirá la marca de clasificación completa RESTREINT UE/EU RESTRICTED en letras mayúsculas, en francés y en inglés (primero en francés), de conformidad con el apartado 3. Esta marca no se traducirá a otras lenguas.
3. La marca de clasificación RESTREINT UE/EU RESTRICTED se dispondrá de la forma siguiente:
a) centrada en la parte superior e inferior de cada página del documento;
b) la marca de clasificación completa aparecerá en una sola línea, sin espacios a cada lado de la barra oblicua;
c) en mayúsculas de color negro, con el tipo y tamaño de letra Times New Roman 16, en negrita y rodeada de un reborde por cada lado.
4. Al crear un documento RESTREINT UE/EU RESTRICTED:
a) se marcará claramente cada página con el grado de clasificación;
b) se numerarán todas las páginas;
c) el documento deberá llevar un número de referencia y una indicación del asunto, que en sí misma no constituirá información clasificada, salvo si se marca como tal;
d) todos los anexos y documentos adjuntos se enumerarán, siempre que sea posible, en la primera página, y
e) se indicará en el documento la fecha de su creación.
Marca de clasificación abreviada R-UE/EU-R
Podrá utilizarse la abreviatura «R-UE/EU-R» para indicar el grado de clasificación de partes concretas de un documento RESTREINT UE/EU RESTRICTED o cuando no pueda insertarse la marca de clasificación completa, por ejemplo en un pequeño soporte de almacenamiento extraíble. Podrá también utilizarse en el cuerpo del texto cuando el uso repetido de la marca de clasificación completa resulte engorroso. La abreviatura no se utilizará en lugar de las marcas de clasificación completas que han de figurar en el encabezamiento y el pie de página del documento.
Otros indicadores de seguridad
1. Los documentos RESTREINT UE/EU RESTRICTED podrán llevar otras marcas o «indicadores de seguridad» que especifiquen, por ejemplo, el ámbito al que pertenece el documento o que indiquen una distribución determinada en función de la «necesidad de conocer». Ejemplo:
|
DIVULGABLE A LIECHTENSTEIN |
2. Los documentos RESTREINT UE/EU RESTRICTED podrán llevar una advertencia de seguridad que ofrezca instrucciones específicas sobre la forma de manejar y tratar los documentos.
3. Siempre que sea posible, toda indicación referente a la desclasificación se colocará en la primera página del documento en el momento de su creación. Por ejemplo, podrá utilizarse el marcado siguiente:
|
RESTREINT UE/EU RESTRICTED hasta el [dd.mm.aaaa] |
Tratamiento electrónico
1. Los documentos RESTREINT UE/EU RESTRICTED se crearán por medios electrónicos siempre que estos estén disponibles.
2. El personal de la Comisión utilizará SIC acreditados para generar información de grado RESTREINT UE/EU RESTRICTED. En caso de duda acerca de los SIC que pueden utilizarse, el personal deberá consultar a su responsable local de seguridad (LSO, por sus siglas en inglés). Previa consulta a la autoridad de seguridad de la Comisión, podrán aplicarse procedimientos específicos en caso de emergencia o en presencia de configuraciones técnicas específicas.
3. Los documentos RESTREINT UE/EU RESTRICTED, incluidos los borradores, según dispone el artículo 5, no se enviarán por correo electrónico ordinario no cifrado, ni se imprimirán o escanearán en impresoras o escáneres estándar, ni se manejarán en los dispositivos personales de los miembros del personal. Para imprimir documentos RESTREINT UE/EU RESTRICTED, solo se utilizarán impresoras o fotocopiadoras conectadas a ordenadores independientes o a un sistema acreditado.
Distribución
El remitente de los documentos RESTREINT UE/EU RESTRICTED decidirá a quién debe distribuirse la información, en función de su «necesidad de conocer». En caso necesario, se elaborará una lista de distribución para aplicar más rigurosamente el principio de la «necesidad de conocer».
Control de originador
1. El originador deberá tener «control de originador» sobre la información RESTREINT UE/EU RESTRICTED que haya creado. Se recabará el consentimiento previo por escrito del originador antes de que la información pueda ser:
a) desclasificada;
b) utilizada con fines distintos de los determinados por el originador;
c) divulgada a un tercer país o a una organización internacional;
d) revelada a una parte externa a la Comisión pero interna a la UE; o
e) revelada a un contratista o a un contratista potencial ubicado en un tercer país.
2. Los poseedores de la información RESTREINT UE/EU RESTRICTED han recibido acceso a la información clasificada para poder desempeñar sus funciones. Son responsables de su correcto manejo, almacenamiento y protección con arreglo a la Decisión (UE, Euratom) 2015/444. A diferencia de los originadores de información clasificada, los poseedores no estarán autorizados para adoptar decisiones sobre la desclasificación o la subsiguiente divulgación de información RESTREINT UE/EU RESTRICTED a terceros países u organizaciones internacionales.
3. Si no es posible identificar al originador de alguna información RESTREINT UE/EU RESTRICTED, el servicio de la Comisión que posea esa información clasificada ejercerá el control de originador. Antes de divulgar información RESTREINT UE/EU RESTRICTED a un tercer país o a una organización internacional, se consultará al grupo de expertos de seguridad de la Comisión.
SIC adecuados para el manejo de la información RESTREINT UE/EU RESTRICTED
La información RESTREINT UE/EU RESTRICTED se manejará y transmitirá por medios electrónicos, siempre que estos estén disponibles. Solo se utilizarán SIC y equipo que hayan sido acreditados por la Autoridad de Acreditación de Seguridad de la Comisión.
Medidas específicas aplicables a la información RESTREINT UE/EU RESTRICTED en soportes de almacenamiento extraíbles
1. El uso de soportes de almacenamiento extraíbles será objeto de control y dará lugar a la debida rendición de cuentas. Solo se utilizarán soportes de almacenamiento extraíbles proporcionados por la Comisión y cifrados con un producto aprobado por la autoridad de seguridad de la Comisión. Para la transferencia de información clasificada no se utilizarán soportes de almacenamiento extraíbles personales ni soportes ofrecidos gratuitamente en conferencias, seminarios, etc. En la medida de lo posible, se utilizarán soportes de almacenamiento extraíbles protegidos por la tecnología Tempest, conforme a las directrices de la autoridad de seguridad de la Comisión.
2. Cuando un documento clasificado se maneje o se almacene electrónicamente en soportes de almacenamiento extraíbles, como llaves USB, discos compactos o tarjetas de memoria, la marca de clasificación deberá ser claramente visible en la propia información, así como en el nombre del archivo y en el soporte de almacenamiento extraíble.
3. El personal deberá tener en cuenta que, cuando se almacenen grandes volúmenes de información clasificada en soportes de almacenamiento extraíbles, el dispositivo podrá requerir un grado de clasificación más elevado.
4. Solo los SIC que hayan sido debidamente acreditados podrán utilizarse para transferir información RESTREINT UE/EU RESTRICTED hacia o desde soportes de almacenamiento extraíbles.
5. Cuando se descargue información RESTREINT UE/EU RESTRICTED a soportes de almacenamiento extraíbles, se tomarán especiales precauciones para asegurar que dichos soportes no contengan virus o programas maliciosos antes de la transferencia de los datos.
6. Cuando así proceda, los soportes de almacenamiento extraíbles se manejarán con arreglo a los procedimientos operativos de seguridad correspondientes al sistema de cifrado utilizado.
7. Los documentos en soportes de almacenamiento extraíbles que ya no se necesiten o que hayan sido transferidos a un SIC adecuado se suprimirán o eliminarán de forma segura utilizando productos o métodos aprobados. Salvo si se almacenan en muebles de oficina debidamente cerrados con llave, los soportes de almacenamiento extraíbles se destruirán cuando dejen de ser necesarios. Las operaciones de destrucción o eliminación se efectuarán con métodos que se ajusten a las normas de seguridad de la Comisión. Se mantendrá un inventario de los soportes extraíbles, cuya destrucción deberá registrarse.
Manejo y almacenamiento de la información RESTREINT UE/EU RESTRICTED
1. De conformidad con el artículo 19, apartado 1, letras a) y b), de la Decisión (UE, Euratom) 2015/444, la información RESTREINT UE/EU RESTRICTED podrá manejarse en una zona administrativa o en una zona de acceso restringido (7), según se indica a continuación:
— cuando se disponga a manejar información RESTREINT UE/EU RESTRICTED, el personal cerrará la puerta del despacho;
— si se presenta alguna visita, el personal deberá retirar u ocultar la información RESTREINT UE/UE RESTRICTED;
— cuando el despacho esté vacío, el personal no deberá dejar información RESTREINT UE/EU RESTRICTED en ningún lugar visible;
— las pantallas donde aparezca información RESTREINT UE/EU RESTRICTED se apartarán permanentemente de las ventanas y las puertas para evitar posibles miradas indiscretas.
2. Conforme al artículo 19, apartado 1, letra c), de la Decisión (UE, Euratom) 2015/444, la información RESTREINT UE/EU RESTRICTED podrá manejarse fuera de una zona de acceso restringido o de una zona administrativa siempre que el poseedor se haya comprometido a cumplir las medidas compensatorias destinadas a preservarla del acceso de personas no autorizadas. Dichas medidas compensatorias incluirán, como mínimo, las siguientes:
— la información RESTREINT UE/EU RESTRICTED no se leerá en lugares públicos;
— la ICUE permanecerá en todo momento bajo el control personal de su poseedor;
— los documentos se guardarán en muebles de oficina debidamente cerrados con llave cuando no estén siendo leídos o comentados;
— las puertas de la sala se cerrarán durante la lectura o el debate del documento;
— el contenido del documento no se tratará por teléfono, en una línea no segura, ni en un correo electrónico no cifrado;
— el documento solo se podrá fotocopiar o escanear en aparatos independientes o acreditados;
— el documento solo se manejará y conservará temporalmente fuera de las zonas administrativas y de las zonas de acceso restringido durante el tiempo mínimo necesario;
— el poseedor no desechará el documento clasificado, sino que lo devolverá para su almacenamiento en una zona administrativa o de acceso restringido, o se encargará de su destrucción en una trituradora autorizada.
3. Las copias impresas de información RESTREINT UE/EU RESTRICTED se guardarán en muebles de oficina cerrados con llave en una zona administrativa o en una zona de acceso restringido. Podrán almacenarse temporalmente fuera de una zona de acceso restringido o de una zona administrativa siempre que el poseedor se haya comprometido a cumplir las medidas compensatorias.
4. Puede solicitarse asesoramiento adicional al responsable local de seguridad (LSO) del servicio correspondiente de la Comisión.
5. Se informará lo antes posible al LSO de todo incidente de seguridad, supuesto o confirmado, que afecte al documento.
Copia y traducción de información RESTREINT UE/EU RESTRICTED
1. La información RESTREINT UE/EU RESTRICTED podrá copiarse o traducirse a instrucción de su poseedor, siempre que el originador no haya impuesto ninguna reserva al respecto. No obstante, no se realizarán más copias de las estrictamente necesarias.
2. Cuando solo se reproduzca parte de un documento clasificado, se aplicarán las mismas condiciones que para la copia del documento íntegro. Los extractos se clasificarán también como RESTREINT UE/EU RESTRICTED, a menos que hayan sido marcados como no clasificados por el originador.
3. Las medidas de seguridad aplicables a la información original se aplicarán también a sus copias y traducciones.
Principios generales aplicables al transporte de información RESTREINT UE/EU RESTRICTED
1. Siempre que sea posible, la información RESTREINT UE/EU RESTRICTED que deba salir de las de zonas de acceso restringido o de las zonas administrativas se enviará por vía electrónica a través de medios debidamente acreditados y/o protegidos por productos criptográficos aprobados.
2. En función de los medios disponibles o de las circunstancias particulares, la información RESTREINT UE/EU RESTRICTED podrá transportarse físicamente en mano, en documentos impresos en papel o en soportes de almacenamiento extraíbles. Para la transmisión de información RESTREINT UE/EU RESTRICTED, el uso de soportes de almacenamiento extraíbles tendrá preferencia sobre el envío de documentos impresos.
3. Solo podrán utilizarse soportes de almacenamiento extraíbles cifrados mediante un producto aprobado por la autoridad de seguridad de la Comisión. La información RESTREINT UE/EU RESTRICTED contenida en soportes de almacenamiento extraíbles que no estén protegidos por un producto de cifrado aprobado por la autoridad de seguridad de la Comisión se manejará de la misma manera que la información impresa en papel.
4. Un envío podrá contener más de un elemento de información RESTREINT UE/EU RESTRICTED, siempre que se respete el principio de la «necesidad de conocer».
5. El envoltorio utilizado deberá garantizar que el contenido está oculto. La información RESTREINT UE/EU RESTRICTED se transportará en envoltorios opacos, como un sobre, una carpeta opaca o un maletín. En el exterior del envoltorio no figurará ninguna indicación sobre la naturaleza o el grado de clasificación de su contenido. Si se utiliza, la capa interior del envoltorio llevará la indicación RESTREINT UE/EU RESTRICTED. En ambas capas se indicará el nombre del destinatario, su cargo y su dirección, así como una dirección de retorno en caso de que no sea posible efectuar la entrega.
6. Todo incidente de seguridad que afecte a información RESTREINT UE/EU RESTRICTED que esté siendo transportada por miembros del personal o mensajeros se notificará para su subsiguiente investigación a la Dirección de Seguridad de la Dirección General de Recursos Humanos y Seguridad a través del LSO del servicio correspondiente de la Comisión.
Transporte manual de soportes de almacenamiento extraíbles
1. Los soportes de almacenamiento extraíbles que se utilicen para el transporte de información RESTREINT UE/EU RESTRICTED irán acompañados de una nota de envío en la que se detallarán los soportes de almacenamiento extraíbles que contienen la información clasificada, así como todos los ficheros que albergan, de forma que el destinatario pueda realizar las comprobaciones necesarias.
2. Solo se almacenarán en los citados soportes los documentos que hayan de entregarse. Por ejemplo, toda la información clasificada contenida en una misma llave USB deberá tener un único destinatario. El remitente deberá tener en cuenta que el almacenamiento de un gran volumen de información clasificada en esos dispositivos podrá justificar la atribución de un grado de clasificación más elevado al dispositivo en su conjunto.
3. Para transportar información RESTREINT UE/EU RESTRICTED solo se utilizarán soportes de almacenamiento extraíbles que lleven la marca de clasificación adecuada.
Transporte de documentos RESTREINT UE/EU RESTRICTED dentro de los edificios de la Comisión
1. El personal podrá transportar documentos RESTREINT UE/EU RESTRICTED dentro de un edificio de la Comisión, pero esos documentos no podrán quedar desatendidos por su portador ni ser leídos en público.
2. Los documentos RESTREINT UE/EU RESTRICTED podrán enviarse por correo interno a otras oficinas de la Comisión Europea en un único sobre ordinario opaco, pero sin indicación exterior alguna de que el contenido está clasificado. Las demás instituciones u organismos de la UE directamente servidos por el sistema de correo interno de la Comisión también podrán recibir los documentos RESTREINT UE/EU RESTRICTED de la misma manera.
Transporte de documentos RESTREINT UE/EU RESTRICTED dentro de la Unión
1. La información RESTREINT UE/EU RESTRICTED podrá ser transportada por personal o mensajeros de la Comisión en cualquier lugar de la Unión, siempre que se cumplan las instrucciones siguientes:
a) que se utilice un sobre o un envoltorio opaco en cuya parte exterior no figure ninguna indicación sobre la naturaleza o el grado de clasificación de su contenido;
b) que la información RESTREINT UE/EU RESTRICTED no quede desatendida en ningún momento por el portador, y que
c) el sobre o el envoltorio no se abran en tránsito y que la información no se lea en lugares públicos.
2. El personal que desee enviar información RESTREINT UE/EU RESTRICTED a otros lugares de la Unión podrá disponer que se transporte por uno de los medios siguientes:
— servicios postales nacionales que garanticen un rastreo del envío o determinados servicios de mensajería comercial que garanticen el transporte personal en mano, siempre que cumplan los requisitos establecidos en el artículo 23 de la presente Decisión;
— valija militar, administrativa o diplomática, en coordinación con el personal del registro.
Transporte de información RESTREINT UE/EU RESTRICTED hacia o desde el territorio de un tercer país
1. La información clasificada como RESTREINT UE/EU RESTRICTED podrá ser transportada en mano por el personal entre el territorio de la Unión y el de un tercer país.
2. El personal del registro podrá organizar alguna de las modalidades de transporte siguientes:
— transporte por servicios de correo postal que garanticen el rastreo del envío o por servicios de mensajería comercial que garanticen el transporte en mano;
— transporte por valija militar o diplomática.
3. Cuando transporte en mano documentos impresos en papel o soportes de almacenamiento extraíbles clasificados como RESTREINT UE/EU RESTRICTED, el personal deberá cumplir todas las medidas adicionales siguientes:
— Al desplazarse en transporte público, la información clasificada se colocará en un maletín o bolsa que permanecerá bajo la custodia personal del portador, no pudiendo dejarse en la bodega de equipajes.
— La información RESTREINT UE/EU RESTRICTED se transportará en un envoltorio doble. La capa interior del envoltorio deberá llevar un sello oficial que indique que se trata de un envío oficial que no ha de someterse a los controles de seguridad.
— El portador llevará un certificado de correo que certifique que está autorizado a transportar el envío RESTREINT UE/EU RESTRICTED, expedido por el registro del servicio correspondiente.
Transporte a cargo de mensajeros comerciales
1. A efectos de lo dispuesto en la presente Decisión, por «mensajeros comerciales» se entienden los servicios postales nacionales y las empresas de mensajería comercial que ofrecen un servicio consistente en la entrega de información a cambio de una tarifa y que se lleva a cabo, bien en forma de transporte personal en mano, bien mediante un sistema de rastreo.
2. Los servicios de mensajería comercial pueden recurrir a los servicios de un subcontratista. No obstante, la responsabilidad del cumplimiento de la presente Decisión seguirá correspondiendo a la empresa de mensajería.
3. Si el destinatario previsto se halla fuera de la UE, se utilizará un envoltorio de doble capa. Al preparar envíos clasificados, el remitente deberá tener en cuenta que los servicios de mensajería comercial solo entregarán los envíos RESTREINT UE/EU RESTRICTED al destinatario previsto, a su sustituto debidamente autorizado, al controlador del registro o su sustituto debidamente autorizado, o a un recepcionista. A fin de mitigar el riesgo de que el envío no llegue al destinatario previsto, la capa exterior y, cuando corresponda, la capa interior del envoltorio llevarán una dirección de retorno.
4. No se utilizarán para la información RESTREINT UE/EU RESTRICTED los servicios ofrecidos por mensajeros comerciales consistentes en la transmisión electrónica de documentos de entrega certificada.
Otras condiciones de manejo específicas
1. Se cumplirán todas las condiciones de transporte que se hayan establecido en un acuerdo sobre seguridad de la información o en un arreglo administrativo. En caso de duda, el personal consultará a sus respectivos registros o a la Dirección de Seguridad de la Dirección General de Recursos Humanos y Seguridad.
2. El requisito de doble envoltorio podrá ser inaplicado en el caso de la información clasificada que esté protegida por productos criptográficos aprobados. No obstante, a efectos de expedición, y debido también al hecho de que el soporte de almacenamiento extraíble lleva una marca de clasificación de seguridad explícita, el soporte se transportará al menos en un sobre ordinario, pero podrá requerir medidas de protección física adicionales, como el uso de sobres recubiertos en el interior con plástico de burbujas.
Preparación de una reunión RESTREINT UE/EU RESTRICTED
1. Las reuniones en las que esté previsto discutir información RESTREINT UE/EU RESTRICTED se celebrarán solo en salas de reuniones que hayan sido acreditadas al nivel adecuado o superior. Cuando esas salas no estén disponibles, el personal consultará a la autoridad de seguridad de la Comisión.
2. Como regla general, los órdenes del día no deben clasificarse. El hecho de que el orden del día de alguna reunión haga referencia a documentos clasificados no implica que el orden del día deba clasificarse automáticamente. Los puntos del orden del día se formularán con una redacción que evite todo riesgo para la protección de los intereses de la Unión o de uno o más Estados miembros.
3. Si es preciso adjuntar al orden del día ficheros electrónicos que contengan información RESTREINT UE/EU RESTRICTED, será obligatorio protegerlos con productos criptográficos aprobados por la Autoridad Crypto de la Comisión.
4. Los organizadores de las reuniones habrán de recordar a los participantes que las observaciones relativas a puntos RESTREINT UE/EU RESTRICTED del orden del día no deben enviarse por correo electrónico ordinario no cifrado, ni por otros medios que no hayan sido debidamente acreditados con arreglo al artículo 11 de la presente Decisión.
5. Los organizadores de las reuniones tratarán de agrupar de manera consecutiva en el orden del día los puntos RESTREINT UE/EU RESTRICTED para facilitar el fluido desenvolvimiento de la reunión. Solo podrán estar presentes en los debates de los puntos clasificados las personas con necesidad de conocerlos.
6. En la propia invitación se prevendrá a los participantes de que en la reunión se debatirán temas clasificados, lo que dará lugar a la aplicación de las medidas de seguridad correspondientes.
7. En la invitación o en una nota en el propio orden del día se recordará a los participantes que durante el debate de los puntos RESTREINT UE/EU RESTRICTED deberán desconectar sus dispositivos electrónicos portátiles.
8. Antes de la reunión, los organizadores elaborarán una lista completa de los participantes externos.
Equipo electrónico en las salas de reuniones RESTREINT UE/EU RESTRICTED
1. Cuando se transmita información clasificada, por ejemplo durante una presentación en la que se muestre información EU RESTRICTED UE/EU RESTRICTED, o cuando se celebren videoconferencias, solo podrán utilizarse sistemas informáticos acreditados con arreglo al artículo 11 de la presente Decisión.
2. El presidente se asegurará de que se hayan desconectado los dispositivos electrónicos portátiles no autorizados.
Procedimientos que han de seguirse durante las reuniones RESTREINT UE/EU RESTRICTED
1. Al inicio del debate sobre temas clasificados, el presidente anunciará a los asistentes a la reunión que se pasa a «modo clasificado». Se cerrarán las puertas y las persianas.
2. Solo se entregará a los participantes y a los intérpretes el número necesario de documentos, según corresponda, al inicio del debate.
Los documentos RESTREINT UE/EU RESTRICTED no se dejarán desatendidos durante las pausas de la reunión.
3. Al término de la reunión, se recordará a los participantes y a los intérpretes que no dejen desatendidos en la sala los documentos clasificados o las notas clasificadas que hayan podido tomar. Las notas o los documentos clasificados que no recojan los participantes al final de la reunión serán recogidos por los organizadores y triturados en las trituradoras apropiadas.
4. Durante la reunión, se anotará la lista de participantes y se realizará una sinopsis de la información clasificada facilitada a los Estados miembros y comunicada verbalmente a terceros países u organizaciones internacionales para su registro en el resultado de los trabajos.
Intérpretes y traductores
Solo los intérpretes y traductores que estén sujetos al Estatuto de los funcionarios o al régimen aplicable a otros agentes de la Unión Europea o que tengan un vínculo contractual con la Comisión tendrán acceso a la información RESTREINT UE/EU RESTRICTED.
Consentimiento del originador
Si la Comisión no es la entidad originadora de la información clasificada que desea divulgar o poner en común, o del material original que esta pueda contener, el servicio de la Comisión que posea esa información clasificada deberá recabar el consentimiento escrito del originador para divulgarla. Si no se puede identificar al originador, el servicio de la Comisión que posea esa información clasificada ejercerá el control de originador.
Puesta en común de información RESTREINT UE/EU RESTRICTED con otras entidades de la Unión
1. La información RESTREINT UE/EU RESTRICTED solo se pondrá en común con otra institución, órgano, organismo u oficina de la Unión si el destinatario tiene necesidad de conocerla y si dicha entidad tiene el correspondiente arreglo jurídico con la Comisión.
2. Dentro de la Comisión, el registro de ICUE gestionado por la Secretaría General será, por regla general, el punto principal de entrada y de salida para los intercambios de información clasificada con otras instituciones, órganos, organismos u oficinas de la Unión. No obstante, la información RESTREINT UE/EU RESTRICTED podrá comunicarse directamente a los destinatarios previstos.
Intercambio de información RESTREINT UE/EU RESTRICTED con los Estados miembros
1. La información RESTREINT UE/EU RESTRICTED podrá ponerse en común con los Estados miembros si el destinatario tiene necesidad de conocerla.
2. La información clasificada de los Estados miembros que lleve una marca de clasificación nacional equivalente (8) y que haya sido facilitada a la Comisión recibirá el mismo grado de protección que la información RESTREINT UE/EU RESTRICTED.
Intercambio de información RESTREINT UE/EU RESTRICTED con terceros países y organizaciones internacionales
1. La información RESTREINT UE/EU RESTRICTED solo se divulgará a un tercer país o a una organización internacional si el destinatario tiene necesidad de conocerla y el país u organización internacional dispone de un marco jurídico o administrativo apropiado, como un acuerdo de seguridad de la información o un arreglo administrativo con la Comisión. Las disposiciones de dichos acuerdos o arreglos prevalecerán sobre las de la presente Decisión.
2. Por regla general, el registro de ICUE gestionado por la Secretaría General actuará como punto principal de entrada y de salida de toda la información clasificada RESTREINT UE/EU RESTRICTED intercambiada entre la Comisión y terceros países y organizaciones internacionales. Se consultará a la autoridad de seguridad de la Comisión cuando motivos de seguridad, organizativos u operativos aconsejen que los registros locales de ICUE actúen como puntos de entrada y de salida para las materias que sean competencia del servicio correspondiente.
3. Para garantizar su rastreabilidad, la información RESTREINT UE/EU RESTRICTED se registrará:
— cuando llegue o a una entidad organizativa o salga de ella; y
— cuando llegue a un SIC o salga de él.
4. Ese registro podrá efectuarse en papel o en libros de registro electrónicos.
5. Los procedimientos de registro de la información clasificada manejada en un SIC acreditado podrán llevarse a cabo mediante los procesos internos del propio SIC. En ese caso, el SIC incluirá medidas para garantizar la integridad de los libros de registro.
6. La información clasificada recibida de terceros países o de organizaciones internacionales recibirá un grado de protección equivalente al de la ICUE que lleve la marca de clasificación equivalente, según se establezca en el acuerdo de seguridad de la información o en el arreglo administrativo correspondiente.
Divulgación ad hoc con carácter excepcional de información RESTREINT UE/EU RESTRICTED
1. Cuando la Comisión o alguno de sus servicios determine que existe una necesidad excepcional de divulgar información RESTREINT UE/EU RESTRICTED a un tercer país, una organización internacional o una entidad de la UE, pero no exista ningún acuerdo de seguridad de la información o arreglo administrativo, se seguirá el procedimiento de divulgación ad hoc con carácter excepcional.
2. Los servicios de la Comisión se pondrán en contacto con la autoridad de seguridad de la Comisión, la cual consultará al grupo de expertos de seguridad de la Comisión.
3. Previa consulta a su grupo de expertos de seguridad, la Comisión, a propuesta del miembro de la Comisión responsable de los asuntos de seguridad, podrá autorizar la divulgación de dicha información.
Desclasificación
1. La información solo permanecerá clasificada mientras requiera protección. La desclasificación significará que la información dejará de considerarse clasificada desde todo punto de vista. Al producir la información, el originador indicará, siempre que sea posible, si la ICUE puede desclasificarse en una fecha determinada o tras un acontecimiento concreto. De otra forma, el originador revisará periódicamente la información RESTREINT UE/EU RESTRICTED para determinar si su clasificación sigue siendo apropiada.
2. La información clasificada RESTREINT UE/EU RESTRICTED que se haya originado en la Comisión se desclasificará automáticamente al término de treinta años, de conformidad con el Reglamento (CEE, Euratom) n.o 354/83, modificado por el Reglamento (CE, Euratom) n.o 1700/2003 del Consejo (9), y con el artículo 59, apartado 2, letra a), de la Decisión (UE, Euratom) 2015/444.
3. Los documentos de la Comisión también podrán desclasificarse con carácter ad hoc, por ejemplo a raíz de una solicitud de acceso público.
Responsabilidad de la desclasificación
1. La información RESTREINT UE/EU RESTRICTED no será desclasificada sin el permiso de su originador.
2. El servicio de la Comisión que cree un documento clasificado será responsable de decidir si puede desclasificarse. Dentro de la Comisión, todas las solicitudes de desclasificación serán sometidas a la consulta del jefe de unidad o el director del servicio originario. Si el servicio ha compilado información clasificada procedente de diversas fuentes, deberá recabar, en primer lugar, el consentimiento de las otras partes que hayan facilitado material original, incluidos los Estados miembros, otros organismos de la UE, terceros países u organizaciones internacionales.
3. Cuando el servicio originario de la Comisión haya dejado de existir y sus responsabilidades hayan sido asumidas por otro servicio, será este último el que adopte la decisión sobre la desclasificación. Cuando el servicio originario haya dejado de existir y sus responsabilidades no hayan sido asumidas por otro servicio, la decisión sobre la desclasificación será adoptada conjuntamente por los jefes de unidad o los directores de las Direcciones Generales destinatarias.
Información sensible no clasificada
Cuando la revisión de un documento desemboque en una decisión de desclasificación, deberá considerarse si el documento debe llevar una marca de distribución de información sensible no clasificada conforme al artículo 9 de la Decisión (UE, Euratom) 2015/443.
Indicación de que un documento ha sido desclasificado
1. La marca de clasificación original en la parte superior e inferior de cada página deberá tacharse de forma visible (no suprimirse) mediante la función «tachado», en el caso de los formatos electrónicos, o de forma manual, en los documentos impresos.
2. La primera página (cubierta) deberá llevar un sello que indique que el documento ha sido desclasificado y completarse con los datos de la autoridad responsable de la desclasificación y la fecha correspondiente.
3. Se informará de la desclasificación a los destinatarios originales de la información RESTREINT UE/EU RESTRICTED. Los destinatarios iniciales serán responsables de informar a los destinatarios subsiguientes a quienes hayan enviado la información original RESTREINT UE/EU RESTRICTED o puesto en copia de su envío.
4. Se informará al servicio de los Archivos Históricos de la Comisión de cuantas decisiones de desclasificación se adopten.
5. Todas las traducciones de información clasificada estarán sujetas a los mismos procedimientos de desclasificación que la versión lingüística original.
Desclasificación parcial de información RESTREINT UE/EU RESTRICTED
1. Será también posible una desclasificación parcial (que afecte, por ejemplo, a los anexos o determinados apartados del documento). El procedimiento será idéntico al de desclasificación de un documento íntegro.
2. Tras la desclasificación parcial («saneamiento») de la información RESTREINT UE/EU RESTRICTED, se producirá un extracto desclasificado.
3. Las partes que permanezcan clasificadas se sustituirán por la inscripción:
|
PARTE QUE NO DEBE DESCLASIFICARSE |
bien en el cuerpo del propio texto, si la parte que permanece clasificada forma parte de un apartado, bien como apartado, si la parte que permanece clasificada ocupa un apartado específico o más de un apartado.
4. Cuando un anexo completo no pueda desclasificarse y, por lo tanto, no figure en el extracto, se hará una mención específica de esa circunstancia en el texto.
Destrucción y eliminación rutinarias de información RESTREINT UE/EU RESTRICTED
1. La Comisión no acumulará grandes volúmenes de información clasificada.
2. Los servicios originarios revisarán periódicamente, a intervalos cortos, pequeñas cantidades de información para su destrucción o eliminación. Se llevará a cabo una revisión a intervalos regulares tanto de la información almacenada en papel como de la almacenada en SIC.
3. El personal destruirá o eliminará de forma segura todos los documentos RESTREINT UE/EU RESTRICTED que hayan dejado de ser necesarios, sin menoscabo de los requisitos de archivo aplicables al documento original.
4. El personal no estará obligado a informar al originador de la destrucción o eliminación de copias de documentos RESTREINT UE/EU RESTRICTED.
5. Los borradores que contengan información clasificada serán sometidos a los mismos métodos de eliminación que los documentos clasificados finalizados.
6. Para la destrucción de los documentos RESTREINT UE/EU RESTRICTED solo se utilizarán trituradoras aprobadas. Las trituradoras con el grado de seguridad 4 de la norma DIN 32757 y el grado de seguridad 5 de la norma DIN 66399 se consideran adecuadas para la destrucción de documentos RESTREINT UE/EU RESTRICTED.
7. Los residuos de las trituradoras aprobadas podrán eliminarse como residuos de oficina normales.
8. Todos los soportes y dispositivos que contengan información RESTREINT UE/EU RESTRICTED serán adecuadamente saneados cuando lleguen al final de su vida útil. Los datos electrónicos se destruirán o borrarán de los recursos informáticos y los soportes de almacenamiento asociados de una forma que ofrezca garantías suficientes de que la información no puede recuperarse. El saneamiento suprimirá los datos, así como todas las etiquetas, marcas y registros de actividad, del dispositivo de almacenamiento.
9. Los soportes de almacenamiento informático se entregarán al LSO o al responsable local de seguridad informática y/o al controlador del registro para su destrucción y eliminación.
Evacuación y destrucción de información RESTREINT UE/EU RESTRICTED en caso de emergencia
1. El jefe de servicio desarrollará, aprobará y, en caso necesario, activará los planes de evacuación y destrucción de emergencia para proteger la información RESTREINT UE/EU RESTRICTED que presente un riesgo significativo de caer en manos no autorizadas durante una crisis. Por orden de prioridad y en función de la naturaleza de la emergencia, se barajarán las opciones siguientes:
(1) trasladar la ICUE a otro lugar seguro, a ser posible una zona administrativa o de acceso restringido dentro del mismo edificio;
(2) evacuar la ICUE a otro lugar seguro, a ser posible una zona administrativa o de acceso restringido en otro edificio, preferentemente un edificio de la Comisión;
(3) destruir la ICUE, utilizando, en la medida de lo posible, los medios de destrucción aprobados.
2. Cuando se hayan activado planes de emergencia, se dará prioridad al traslado o la destrucción de la información de grados más elevados.
3. A su vez, los detalles operativos de los planes de evacuación y destrucción de emergencia se clasificarán como RESTREINT UE/EU RESTRICTED.
Archivo
1. Las decisiones sobre la necesidad de archivar, en qué momento, y las medidas prácticas correspondientes se adoptarán de conformidad con la política de la Comisión en materia de gestión de documentos.
2. Los documentos RESTREINT UE/EU RESTRICTED no se enviarán a los Archivos Históricos de la Unión Europea en Florencia.
Transparencia
La presente Decisión será puesta en conocimiento del personal de la Comisión y de todas aquellas personas a las que se aplique, y se publicará en el Diario Oficial de la Unión Europea.
Entrada en vigor
La presente Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.
Hecho en Bruselas, el 17 de octubre de 2019.
Por la Comisión
En nombre del Presidente,
Günther OETTINGER
Miembro de la Comisión
(1) DO L 72 de 17.3.2015, p. 41.
(2) DO L 72 de 17.3.2015, p. 53.
(3) DO L 6 de 11.1.2017, p. 40.
(4) Decisión del Consejo 2013/488/UE, de 23 de septiembre de 2013, sobre las normas de seguridad para la protección de la información clasificada de la UE (DO L 274 de 15.10.2013, p. 1).
(5) Decisión de la Comisión, de 4 de mayo de 2016, sobre la capacitación en materia de seguridad [C (2016) 2797 final].
(6) Conforme al artículo 3 de la Decisión (UE, Euratom) 2015/444, por información «RESTREINT UE/EU RESTRICTED» se entenderá «la información y el material cuya revelación no autorizada pueda resultar desfavorable para los intereses de la Unión Europea o de uno o varios Estados miembros».
(7) Según se definen en el artículo 18 de la Decisión (UE, Euratom) 2015/444.
(8) El cuadro de correspondencias de las marcas de los Estados miembros figura en el anexo I de la Decisión (UE, Euratom) 2015/444.
(9) Reglamento (CE, Euratom) no 1700/2003 del Consejo, de 22 de septiembre de 2003, por el que se modifica el Reglamento (CEE, Euratom) n.o 354/83 relativo a la apertura al público de los archivos históricos de la Comunidad Económica Europea y de la Comunidad Europea de la Energía Atómica (DO L 243 de 27.9.2003, p. 1).
Categorías de personal que pueden tener acceso a información RESTREINT UE/EU RESTRICTED cuando así lo exija el desempeño de sus tareas profesionales
|
Categorías de personal de la Comisión |
Acceso a la información R-UE/EU- R |
Condiciones |
|
Funcionarios |
Sí |
Sesión de información + asunción de responsabilidad + necesidad de conocer |
|
Agentes temporales |
Sí |
Sesión de información + asunción de responsabilidad + necesidad de conocer |
|
Agentes contractuales |
Sí |
Sesión de información + asunción de responsabilidad + necesidad de conocer |
|
Expertos nacionales en comisión de servicios |
Sí |
Sesión de información (a cargo de la Comisión) + asunción de responsabilidad + necesidad de conocer |
|
Becarios |
No |
No cabe ninguna excepción |
|
Cualquier otra categoría de personal (interinos, consultores externos en régimen «intramuros», etc.) |
No |
Consultar a la autoridad de seguridad de la Comisión acerca de las excepciones posibles |
Agencia Estatal Boletín Oficial del Estado
Avda. de Manoteras, 54 - 28050 Madrid
